Windows 从零开始用VPN，先把安装、订阅、代理模式和验证分开处理。客户端显示“已连接”，不等于所有软件都经过所选线路。下面按实际操作顺序说明：在哪里找入口、完成后应看到什么，以及出错后先检查哪一层。
安装前：确认客户端与订阅格式
先登录用户面板的客户端下载入口，查看 Windows 对应的客户端与说明。VPNSR 无需邮箱地址，使用用户名和密码即可创建账户。面板账户负责管理服务；客户端则负责读取配置、建立连接和执行分流，两者不是同一个程序。
不同客户端的菜单名称和功能范围并不一致。本文提到的“订阅管理”“配置”“系统代理”等是常见功能名称，不代表每款软件都有同名按钮。操作时以面板推荐客户端及其当前说明为准，不要把其他软件的配置文件直接套用进来。
- ✅ 在 Windows“设置”的“系统”中打开“系统信息”或“关于”，确认系统类型，再选择对应架构的客户端。
- ✅ 从面板给出的入口获取程序；查看发布者、文件来源及安装说明。遇到安全提示时先核实，不要直接关闭系统防护。
- ✅ 确认面板提供的是订阅地址、配置文件，还是客户端专用导入入口，按对应方式操作。
- ❌ 不把订阅地址提交给陌生转换网站，也不把含完整地址的截图发到公开群组。
订阅地址通常包含访问凭据。拿到地址的人可能读取线路配置并使用相关资源，因此应当把它当作密码管理。若已泄露，在面板查找重置订阅的功能，或通过工单询问处理方式；仅删除公开截图不代表旧地址已经失效。
安装与首次启动：先让程序正常运行
- 获取文件。在面板选择 Windows 客户端，阅读下载页说明。若同时提供安装版与便携版，按说明选择，不要仅凭文件名猜测用途。
- 完成安装或解压。安装版按向导执行；便携版先完整解压到固定文件夹，再打开主程序。不要直接在压缩包预览窗口里运行，也不要只复制主程序而遗漏配套文件。
- 确认主窗口。正常启动后应能看到配置、线路或连接状态区域。此时列表为空并不一定是故障，尚未导入订阅时没有线路属于正常情况。
- 检查托盘。部分客户端关闭窗口后仍在任务栏通知区域运行。点击托盘图标重新打开主界面，区分“隐藏窗口”和“退出程序”。
首次启动不必默认使用管理员权限。普通系统代理模式与虚拟网卡模式的权限需求可能不同；只有客户端说明明确要求安装服务、创建虚拟网卡或提升权限时，才按提示执行。受单位管理的电脑应先确认管理政策，不自行修改组织网络配置。
导入订阅：看到线路才算完成
在面板找到订阅入口后，先读清客户端适配说明。订阅不是普通网页收藏地址：它可能返回完整配置，也可能只返回节点列表。能在浏览器打开一个地址，并不能证明当前客户端支持它的内容格式。
- 复制适配地址。选择与当前客户端匹配的订阅入口，使用复制按钮。不要将账户页面地址或面板首页误当成订阅地址。
- 添加远程订阅。在客户端找到“订阅管理”“配置”或类似区域，选择新增远程配置，将地址粘贴到地址栏。名称只用于自己识别，可写成容易辨认的服务名称。
- 执行更新。保存后点击“更新订阅”“下载配置”或对应按钮。观察结果是否成功，再进入线路或策略组页面，确认列表已经出现。
- 激活配置。如果客户端支持保存多个配置，选中刚导入的配置并启用。导入成功但没有切换当前配置，仍可能沿用旧线路与旧规则。
一键导入通常依赖客户端注册的链接处理方式。点击后没有反应，先确认软件已安装并支持该入口，再使用手动添加远程订阅的方法。不要反复点击导入，制造多个同名配置后再猜哪个生效。
Shadowsocks、VMess、Trojan、VLESS 等是不同的代理协议或方案，客户端是否支持取决于其内核与版本。不能通过修改名称把一种协议变成另一种，也不能假定所有 Windows 客户端都支持面板返回的全部配置。解析失败时，先检查适配格式与客户端版本，再检查地址是否复制完整。
代理模式：先分清接管范围
订阅导入后，先选择面板实际列出的线路，再设置接管方式。“系统代理”“规则模式”“全局模式”和“虚拟网卡模式”描述的不是同一层功能。前者影响流量如何进入客户端，规则与全局则通常决定进入客户端的流量如何转发。
| 设置项 | 主要作用 | 验证重点 |
|---|---|---|
| 系统代理 | 让遵循 Windows 系统代理设置的应用把请求交给客户端。 | 部分软件忽略系统代理，浏览器成功不代表该软件成功。 |
| 规则模式 | 按域名、地址或其他规则决定直连、代理或拒绝。 | 目标网站是否匹配预期规则，默认策略指向哪里。 |
| 全局模式 | 通常让已进入代理内核的流量统一采用指定策略。 | 并不自动接管整台电脑所有网络流量。 |
| 虚拟网卡模式 | 通过虚拟网络接口和路由接管更广范围的流量。 | 权限、路由、DNS 与其他网络软件是否冲突。 |
主要使用浏览器时，可先按客户端说明启用系统代理，并使用配置提供的规则模式。若目标桌面软件不遵循系统代理，再确认它是否有自己的代理选项，或是否需要客户端支持的虚拟网卡模式。不要一开始同时运行多个代理工具，让它们争抢系统设置。
选线时以实际面板标签与目标服务需求为准。地理距离近不一定代表路径更短，专线、中转、直连也不能单凭名称排出固定优劣。先保持模式不变，对比线路；再保持线路不变，对比模式，才能知道是哪项设置影响结果。
连接验证：从出口到目标应用
在客户端选择线路，启用所需代理方式，再打开新的浏览器页面测试。状态灯、流量图和连接日志是辅助证据，真正的验收应包括出口、目标网站和实际应用。仅仅能打开本来就能访问的网站，不能说明代理已经生效。
- 查看出口。用可信的出口查询服务观察当前公网出口，比较启用代理前后的变化。出口所在地与线路显示名称未必完全一致，地理数据库也可能存在误差。
- 打开目标服务。访问实际要使用的网站，检查页面、登录流程与所需功能。已有页面可能复用旧连接，修改设置后应重新发起请求。
- 单独测试桌面应用。浏览器验证完成后，再打开办公、影音或其他目标软件。如果只有该软件失败，优先查它自己的代理设置与客户端接管范围。
- 查看匹配记录。客户端若提供连接或日志页面，确认目标请求采用的是代理策略还是直连。分享日志前移除凭据、订阅地址及其他敏感信息。
DNS 检查要结合分流目标判断。规则模式下，部分直连域名使用本地解析可能符合配置预期；检测页面显示了本地解析器，不足以单独证明所有代理流量发生泄漏。反过来，出口地址已改变，也不能证明 DNS、IPv6 和所有应用都被接管。
如果要求某类请求全部经过指定通道，应核对客户端的 DNS 策略、IPv6 处理和虚拟网卡说明，再用相应测试验证。浏览器的加密 DNS 设置也可能改变解析路径。先理解现有配置，再调整；不要照抄陌生配置片段后把“能打开网页”当作唯一验收标准。
验收结论：出口符合预期、目标服务可以使用、实际应用采用正确策略，才算本次连接配置完成。客户端的“已连接”只说明自身状态，不能代替端到端验证。
开机自启：先验证，再自动运行
先完成手动连接，再打开自动化选项。常见的“开机启动”实际是在登录 Windows 账户后启动程序，并不代表登录前已经建立代理连接。“启动后最小化”“自动连接”“恢复系统代理”也可能是独立开关，需要分别确认。
- 打开客户端设置。找到启动或常规设置，按需要启用随系统启动。只有软件支持相应功能时，再设置启动后连接与托盘运行。
- 核对 Windows 启动项。在“设置”的“应用”中查看“启动”，或在任务管理器的启动应用页面确认状态。入口名称因系统版本而异，找不到条目时先看客户端说明，不自行创建提权任务。
- 重启并登录。检查托盘中是否出现客户端，当前配置和线路是否保留，系统代理或虚拟网卡是否按预期启用，再重复出口与应用测试。
- 补做恢复测试。休眠唤醒或切换网络后重新访问目标服务。若恢复失败，先检查本地网络与客户端状态，不把开机成功当成所有场景都通过。
不建议同时启用客户端自启、手工启动文件夹快捷方式和额外任务。重复启动可能造成端口占用或设置互相覆盖。若启用虚拟网卡需要权限，按客户端官方支持的服务机制处理，不用保存系统密码的临时脚本绕过提示。
故障排查：按层定位，不批量重装
订阅更新失败：先确认本地网络可用，再检查地址完整性、配置格式与账户状态。如果旧配置仍能使用而更新失败，重点查订阅获取环节，不必先删除所有线路。需要协助时，可到面板工单提供已脱敏的错误提示。
线路出现但无法访问：查看是否激活了正确配置、是否选择了有效策略、系统代理是否启用。再用面板中的其他线路对照。切换线路能恢复，说明应继续排查路径或线路；所有线路都失败，则应同时检查客户端、账户流量和本地网络。
浏览器正常、软件失败：优先检查该软件是否遵循系统代理，是否自行解析域名，或是否使用当前接管方式未覆盖的连接。不要仅凭这个现象认定整个服务不可用，也不要未经核对就关闭其他安全软件。
用一段时间后停止：查看面板的套餐状态与流量记录。VPNSR 月订阅按开通日每月重置流量，流量包永久不过期，但“不过期”不等于流量无限。多设备同时使用不限台数，流量仍按所选套餐规则计算。
日常维护保留一个能确认生效的基准配置。更新客户端、切换订阅格式、修改 DNS 或启用虚拟网卡后，都重复验收。操作记录写清改了什么、出现什么现象，比反复卸载重装更容易定位问题。需要回顾基础入口时，可查看使用教程；遇到具体错误时再查帮助中心。